Galaxy: błąd RNG w Coldcard mógł pozbawić użytkowników co najmniej 1 596 BTC, straty mogą sięgnąć ok. 130 mln USD

Galaxy Research ocenia, że luka w portfelach sprzętowych Coldcard kosztowała użytkowników już co najmniej 1 596 BTC. Jeśli potwierdzi się podejrzenie czwartej fali kradzieży, łączna strata może wzrosnąć do ok. 2 055 BTC, czyli w przybliżeniu 130 mln USD. Wpis na X wskazuje, że Galaxy zidentyfikowało 1 596 BTC wyprowadzonych z ok. 7 300 adresów w trzech potwierdzonych falach ataków oraz 14 mniejszych, powiązanych incydentach. Firma nie zalicza na razie do bilansu domniemanej czwartej fali, dopóki zgłoszenia poszkodowanych nie potwierdzą sygnałów widocznych on-chain. Jeżeli ta aktywność zostanie przypisana temu samemu exploitowi, suma strat wyniosłaby ok. 2 055 BTC. Jak powstały szacunki Galaxy na podstawie mapowania on-chain przypisało 1 596 BTC do trzech potwierdzonych fal. Wcześniejsza, szersza analiza wyłącznie z łańcucha bloków sugerowała ruchy czterofalowe na poziomie ok. 1 815,75 BTC, ale obecnie firma zawęziła wartość potwierdzoną, zachowując wyższą, nadal niezweryfikowaną część powiązaną z podejrzewaną czwartą falą. Analitycy Galaxy wskazali możliwą czwartą falę 3 sierpnia, po wykryciu wzorców transakcyjnych podobnych do wcześniejszych ataków. Bieżący szacunek dla tej fali to ok. 448,7 BTC z 709 potencjalnych adresów-ofiar. Galaxy podkreśla, że same dane z blockchaina nie pozwalają potwierdzić wszystkich poszkodowanych ani przesądzić, czy za całością stoi jeden sprawca. Aktywność on-chain ma sugerować, że podejrzewana czwarta fala jest „w znacznym stopniu” dziełem jednego atakującego. Galaxy deklaruje średnio-wysoki poziom pewności tej oceny, przy jednoczesnym oczekiwaniu na bezpośrednie potwierdzenia od ofiar. Na czym polega podatność Coinkite, producent urządzeń Coldcard, ujawnił błąd w ubiegłym tygodniu i powiązał go ze zmianą firmware z marca 2021 r. Podczas integracji nowej biblioteki kryptograficznej ścieżka generowania seeda omyłkowo przełączyła się na deterministyczny generator pseudolosowy dostarczany przez MicroPython, zamiast na sprzętowy generator liczb losowych (true RNG) urządzenia. Ponieważ sprzętowy RNG nadal występował w innych częściach firmware, pobieżne testy wewnętrzne nie wychwyciły zmiany źródła entropii. Niezależna weryfikacja Zespół inżynierii i bezpieczeństwa Bitcoina w Block niezależnie przeanalizował firmware i doszedł do tego samego wniosku: podatne wersje używały deterministycznego fallbacku MicroPython do tworzenia seeda zamiast sprzętowego RNG STM32. Coinkite szacuje, że efektywna entropia dla dotkniętych urządzeń jest znacząco niższa od zakładanej: ok. 40 bitów dla części jednostek Mk2/Mk3 oraz ok. 72 bity dla podatnych modeli Mk4/Mk5 i Coldcard Q, wobec docelowych 128 bitów. Sposób działania atakujących i stan śledztwa Galaxy raportuje, że większość skradzionych środków rozproszono na wiele nowo utworzonych adresów, zamiast konsolidować je w jednym „portfelu zbiorczym”. Część funduszy przechodziła następnie przez transakcje „drugiego skoku”, co utrudnia śledzenie. W trakcie podejrzewanej czwartej fali Galaxy zaobserwowało wzrost aktywności do ok. 13,8 „czyszczeń” (wallet sweeps) na blok Bitcoina, wobec ok. 0,3 sweepa na blok wcześniej. Około 90% skradzionych BTC pozostaje nietknięte on-chain, a żadne z monet zabranych w trzech potwierdzonych falach nie przemieściły się od momentu kradzieży. To daje śledczym czas na obserwację i działania. Galaxy współpracuje z amerykańskimi federalnymi organami ścigania, giełdami kryptowalut oraz grupami dochodzeniowymi z obszaru cyberbezpieczeństwa. Wraz z rozwojem sprawy udostępnia potwierdzone adresy atakujących i ofiar. Firma ostrzega też, że inni napastnicy mogą próbować wykorzystać tę samą podatność, dopóki w użyciu pozostają podatne portfele. Kluczowe jest więc identyfikowanie adresów kontrolowanych przez atakujących, aby giełdy i służby mogły zareagować, jeśli środki zaczną się przemieszczać. Zalecenia dla użytkowników Galaxy i Coinkite rekomendują przeniesienie środków z portfeli utworzonych na podatnym firmware na nowe, bezpieczne adresy. Nowe frazy seed należy generować dopiero po zainstalowaniu poprawionej wersji oprogramowania. Coinkite opublikował awaryjne aktualizacje firmware dla wszystkich dotkniętych modeli (m.in. v4.2.0 dla Mk2/Mk3, v5.6.0 dla Mk4/Mk5 oraz v1.5.0Q dla Coldcard Q) i informuje, że zniszczył pozostałe zapasy urządzeń zawierających podatny firmware. Ważne zastrzeżenia od Coinkite Instalacja aktualizacji chroni wyłącznie portfele utworzone po wdrożeniu poprawki. Istniejące seedy wygenerowane na podatnym firmware pozostają zagrożone i muszą zostać wymienione. Coinkite zaleca wygenerowanie całkowicie nowego seeda na urządzeniu z poprawką, weryfikację adresu odbiorczego, wysłanie małej transakcji testowej, a dopiero po jej powodzeniu przeniesienie całego salda. Portfele utworzone z użyciem co najmniej 50 uczciwych rzutów prywatną kostką nie są podatne wyłącznie na ten problem RNG. Silna fraza BIP39 passphrase zwiększa bezpieczeństwo, ale Coinkite nadal rekomenduje migrację, ponieważ pierwotny materiał seeda pozostaje słaby. Dodatkowe uwagi dot. odzyskiwania środków Galaxy wcześniej wskazywało, że użytkownicy, którzy zauważą niepotwierdzoną transakcję kradzieży, mogą mieć krótkie okno na jej zastąpienie mechanizmem Replace-by-Fee (RBF). Opcja działa wyłącznie przed wykopaniem pierwotnej transakcji i nie gwarantuje odzyskania środków. Wnioski Incydent pokazuje, że błąd na poziomie firmware może podważyć bezpieczeństwo portfela sprzętowego. Właściciele Coldcard powinni sprawdzić wersję firmware, uznać seedy wygenerowane na podatnych wydaniach za skompromitowane i migrować środki dopiero po zainstalowaniu poprawek Coinkite oraz zastosowaniu się do checklisty migracyjnej. Galaxy kontynuuje mapowanie on-chain i współpracę z organami ścigania, aby śledzić adresy atakujących i ograniczyć dalsze straty.